IBM WebSphere Application Server 7.0 < Fix Pack 13 の複数の脆弱性

high Nessus プラグイン ID 50561

Language:

概要

リモートアプリケーションサーバーは、複数の脆弱性の影響を受けます。

説明

Fix Pack 13 の前の IBM WebSphere Application Server 7.0 がリモートホストで実行されているようです。それ自体、報告されているところによれば、以下の脆弱性の影響を受けます。

- 入力値のフィルタリングが適切ではないため、管理コンソールにクロスサイトスクリプティング脆弱性があります。（PM14251）

- 入力値のフィルタリングが適切でないため、組み込みソリューションのコンソールにクロスサイトスクリプティング脆弱性があります。（PM11777）

- WebSphere Application Server 用の管理コンソールに、未特定のクロスサイトリクエスト偽造（CSRF）脆弱性があります。（PM18909）

- WebSphere Application Server for z/OS 用管理コンソールに、未特定のクロスサイトスクリプティング脆弱性があります。（PM17046）

- JAX-WS WS-Security にエラーがあり、これにより WS-SecurityPolicy 仕様のタイムスタンプが適切に処理されません。
（PM16014）

- JAX-WS API に存在するエラーにより、攻撃者は、特別に作り上げられた JAX-WS リクエストを送信することで、サービス拒否を引き起こすことができます。サーバーは破損したデータをクライアントに送信し始めます。（PM13777）

- WebSphere が使用する Apache Axis2/Java は、XML DTD 処理プロセスでのエラーのため、サービス拒否攻撃および情報漏洩攻撃に脆弱です。（PM14844）

- 未特定のエラーが管理コンソールにあり、これによって、特別に作り上げられた URL がリクエストされた場合に、CPU の使用率が高くなり、サービス拒否が発生することがあります。
（PM11807）

ソリューション

WebSphere Application Server を使用する場合は、Fix Pack 13（7.0.0.13）または以降を適用してください。

WebSphere Application Server を使用しておらず、Tivoli Directory Server に付属している組み込み WebSphere Application Server を使用する場合は、推奨されている最新の eWAS フィックスパックを適用してください。